Termos de Serviço para Empresas

1. Escopo e Papéis

1.1 Aplicação. Este DPA aplica-se sempre que a Ortalio tratar Dados Pessoais contidos nos Dados do Cliente (incluindo os Dados do Cliente Final) em nome do Cliente no âmbito da prestação do Serviço.

1.2 Papéis. O Cliente é o Controlador (ou "Business" nos termos das leis de privacidade dos EUA, ou operador que atua em nome de um controlador terceiro) e a Ortalio é o Operador (ou "Service Provider" / "Operador"). O Cliente é o único responsável pela exatidão, pela qualidade e pela licitude dos Dados Pessoais enviados ao Serviço e pelos meios pelos quais o Cliente os obteve.

2. Obrigações do Operador (Artigo 28 do RGPD / RGPD do Reino Unido / LGPD / Lei 25 / Leis Estaduais dos EUA)

2.1 Instruções Documentadas. A Ortalio tratará os Dados Pessoais contidos nos Dados do Cliente somente mediante instruções documentadas do Cliente — conforme estabelecido nos Termos, neste DPA e na configuração e no uso do Serviço pelo Cliente —, salvo se obrigada a fazê-lo pela legislação aplicável, caso em que a Ortalio informará o Cliente sobre essa exigência legal antes do tratamento (a menos que a lei proíba tal informação por motivos importantes de interesse público).

2.2 Disposições sobre Service Provider nas Leis Estaduais de Privacidade dos EUA. Com relação aos Dados Pessoais sujeitos ao California Consumer Privacy Act (CCPA) ou a leis estaduais de privacidade equivalentes dos EUA, a Ortalio atua como "Service Provider" e certifica que não irá: (a) "vender" ("sell") ou "compartilhar" ("share") (para publicidade comportamental entre contextos) tais Dados Pessoais; (b) reter, usar ou divulgar tais Dados Pessoais para qualquer finalidade diversa das finalidades comerciais especificadas nos Termos e neste DPA ou de outra forma permitida por lei; (c) reter, usar ou divulgar tais Dados Pessoais fora da relação comercial direta entre a Ortalio e o Cliente; ou (d) combinar tais Dados Pessoais com dados pessoais recebidos de outras fontes, exceto conforme permitido por lei para a prestação do Serviço. A Ortalio notificará o Cliente caso determine que não pode mais cumprir suas obrigações nos termos das leis estaduais de privacidade dos EUA aplicáveis.

2.3 Confidencialidade do Pessoal. A Ortalio assegura que todo o pessoal autorizado a tratar Dados Pessoais se comprometeu com a confidencialidade ou está sujeito a uma obrigação legal adequada de confidencialidade.

2.4 Segurança do Tratamento. Levando em conta o estado da técnica, os custos de implementação e a natureza, o escopo, o contexto e as finalidades do tratamento, a Ortalio implementa e mantém as medidas técnicas e organizacionais de segurança descritas no Apêndice II abaixo para proteger os Dados Pessoais contra destruição, perda ou alteração acidental ou ilícita, bem como contra divulgação ou acesso não autorizado aos Dados Pessoais ("Incidente de Segurança com Dados Pessoais").

2.5 Suboperadores.

1. Autorização Geral: O Cliente concede à Ortalio autorização geral por escrito para contratar os suboperadores listados no Apêndice III abaixo.
2. Obrigações dos Suboperadores: A Ortalio celebra com cada suboperador um contrato escrito que impõe obrigações de proteção de dados substancialmente equivalentes às previstas neste DPA e permanece integralmente responsável perante o Cliente pelo cumprimento das obrigações de proteção de dados de cada suboperador.
3. Aviso e Objeção: A Ortalio fornecerá ao Cliente aviso prévio (por e-mail ou por aviso no aplicativo com pelo menos 15 dias de antecedência, quando viável) antes de autorizar qualquer novo suboperador a tratar Dados Pessoais. O Cliente poderá se opor, por motivos razoáveis de proteção de dados, no prazo de dez (10) dias a contar do aviso, entrando em contato pelo endereço privacy@ortalio.com. Se a Ortalio não puder razoavelmente atender à objeção, o Cliente poderá rescindir a assinatura afetada e receber o reembolso proporcional das taxas de assinatura pagas antecipadamente e não utilizadas.

2.6 Assistência com Solicitações de Titulares e Avaliações de Impacto. Levando em conta a natureza do tratamento, a Ortalio auxiliará o Cliente por meio de medidas técnicas e organizacionais adequadas, na medida do possível, no cumprimento das obrigações do Cliente de responder a solicitações de exercício de direitos dos titulares. Se um titular apresentar uma solicitação diretamente à Ortalio indicando o Cliente, a Ortalio encaminhará prontamente a solicitação ao Cliente. A Ortalio também prestará assistência razoável ao Cliente em relação a avaliações de impacto sobre a proteção de dados e a consultas prévias às autoridades de controle, quando exigidas pela legislação de proteção de dados aplicável, exclusivamente no que se refere ao tratamento realizado pela Ortalio.

2.7 Notificação de Incidente de Segurança com Dados Pessoais. A Ortalio notificará o Cliente sem demora injustificada após tomar conhecimento de um Incidente de Segurança com Dados Pessoais que afete os Dados do Cliente. Quando nem todas as informações relevantes estiverem disponíveis ao mesmo tempo, a Ortalio poderá fornecê-las em fases, sem demora injustificada adicional.

2.8 Devolução e Exclusão dos Dados. Após o término do Serviço, a Ortalio disponibilizará os Dados do Cliente para exportação durante o período de somente leitura posterior ao término e, em seguida, excluirá os Dados do Cliente dos sistemas ativos e dos backups de acordo com a Seção 12.3 dos Termos, salvo se a legislação aplicável exigir o armazenamento de registros específicos.

2.9 Auditorias e Inspeções (Artigo 28(3)(h)). A Ortalio disponibilizará ao Cliente todas as informações razoavelmente necessárias para demonstrar o cumprimento das obrigações estabelecidas neste DPA e permitirá e contribuirá para auditorias, incluindo inspeções, conduzidas pelo Cliente ou por outro auditor por ele mandatado, sujeitas aos seguintes procedimentos:

1. O Cliente deverá primeiro analisar a documentação de segurança e os resumos de conformidade disponíveis da Ortalio, fornecidos mediante solicitação por escrito;
2. Quando uma auditoria ou inspeção adicional for exigida por lei ou por uma autoridade de controle, ou após um Incidente de Segurança com Dados Pessoais que afete os Dados do Cliente (ou no máximo uma vez por ano, mediante aviso prévio por escrito de pelo menos 30 dias), a auditoria será realizada durante o horário comercial normal, sob rigorosas obrigações de confidencialidade, de forma que não perturbe as operações da Ortalio nem comprometa os dados de outros clientes, e às custas do Cliente.

3. Transferências Internacionais de Dados

3.1 Transferências do EEE (Cláusulas Contratuais-Padrão da UE). Quando a transferência de Dados Pessoais do Cliente para a Ortalio estiver sujeita ao RGPD da UE e exigir uma salvaguarda de transferência, as partes, por meio deste instrumento, celebram e incorporam por referência as Cláusulas Contratuais-Padrão anexas à Decisão de Execução (UE) 2021/914 da Comissão Europeia, de 4 de junho de 2021 ("CCP da UE"), preenchidas da seguinte forma:

• Módulo: O Módulo Dois (de Controlador para Operador) aplica-se quando o Cliente for Controlador, e o Módulo Três (de Operador para Operador) aplica-se quando o Cliente atuar como Operador para um Cliente Final.
• Cláusula 7 (Cláusula de Adesão): Incluída.
• Cláusula 9(a) (Recurso a Suboperadores): Aplica-se a Opção 2 (Autorização geral por escrito), com prazo de aviso de 15 dias.
• Cláusula 11 (Vias de Recurso): A redação opcional não se aplica.
• Cláusula 17 (Lei Aplicável): Aplica-se a Opção 1; as CCP da UE regem-se pelas leis da Irlanda.
• Cláusula 18(b) (Eleição de Foro e Jurisdição): Os litígios decorrentes das CCP da UE serão resolvidos pelos tribunais da Irlanda.
• Anexos I, II e III: Preenchidos conforme estabelecido no Apêndice I, no Apêndice II e no Apêndice III deste Anexo 1. A aceitação eletrônica dos Termos constitui a assinatura do Apêndice I por ambas as partes.

3.2 Transferências do Reino Unido (Adendo de Transferência Internacional de Dados do ICO). Quando a transferência de Dados Pessoais do Cliente para a Ortalio estiver sujeita ao RGPD do Reino Unido, as partes, por meio deste instrumento, celebram e incorporam o International Data Transfer Addendum to the EU Commission Standard Contractual Clauses, Version B1.0 (Adendo de Transferência Internacional de Dados às Cláusulas Contratuais-Padrão da Comissão Europeia, Versão B1.0), emitido pelo Information Commissioner do Reino Unido e em vigor desde 21 de março de 2022 ("Adendo do Reino Unido"), preenchido no Apêndice IV abaixo.

3.3 Transferências a partir do Brasil (Artigo 33 da LGPD e Resolução CD/ANPD nº 19/2024). Quando o Cliente transferir Dados Pessoais sujeitos à Lei Geral de Proteção de Dados brasileira (Lei nº 13.709/2018 – "LGPD") para a Ortalio fora do Brasil, essa transferência será regida pelas obrigações de segurança, de confidencialidade e de observância das instruções aplicáveis ao operador previstas neste DPA e pelas cláusulas-padrão contratuais brasileiras aprovadas pela Autoridade Nacional de Proteção de Dados por meio da Resolução CD/ANPD nº 19, de 23 de agosto de 2024 (Anexo II), apresentadas em inglês no Apêndice V da versão em inglês destes Termos e, em seu texto oficial em português, sem qualquer alteração, no Apêndice V da versão em português do Brasil (pt-br) destes Termos, isto é, no Apêndice V abaixo (acessível a qualquer momento pelo seletor de idioma pt-br na página dos Termos), as quais são celebradas por ambas as partes mediante a aceitação eletrônica destes Termos pelo Cliente.

APÊNDICE I AO ANEXO 1 — Descrição do Tratamento e da Transferência

A. Lista das Partes

• Exportador de Dados (Cliente):
  • Nome, Endereço e Pessoa de Contato: O nome da pessoa jurídica, o endereço e os dados de contato do administrador principal registrados na conta Ortalio do Cliente e no Pedido.
  • Atividades Relevantes para os Dados Transferidos: Uso da plataforma de software B2B de gestão de serviços de campo Ortalio para gerenciar operações de prestação de serviços, agendas, estimativas, faturas e registros de clientes.
  • Papel: Controlador (ou Operador, quando atuar em nome de um Cliente Final).
  • Assinatura e Data: Considera-se assinado e datado mediante a aceitação eletrônica, pelo Cliente, dos Termos de Serviço para Empresas da Ortalio.
• Importador de Dados (Ortalio):
  • Nome: SendWork, Inc.
  • Endereço: 382 NE 191st Street, Suite 42012, Miami, FL 33179, Estados Unidos
  • Dados de Contato: Equipe de Privacidade — privacy@ortalio.com
  • Atividades Relevantes para os Dados Transferidos: Hospedagem em nuvem, armazenamento, manutenção, suporte e tratamento dos Dados do Cliente na plataforma SaaS Ortalio, de acordo com as instruções do Cliente.
  • Papel: Operador.
  • Assinatura e Data: Considera-se assinado e datado mediante a aceitação eletrônica, pelo Cliente, dos Termos de Serviço para Empresas da Ortalio.

B. Descrição da Transferência

• Categorias de Titulares: Os Clientes Finais do Cliente (proprietários de imóveis residenciais, contatos de imóveis, clientes comerciais), potenciais clientes/leads e os funcionários, técnicos e subcontratados do Cliente.
• Categorias de Dados Pessoais Transferidos: Nomes, endereços de e-mail, números de telefone, endereços de cobrança e de locais de serviço, agendas de trabalhos, tarefas, estimativas, orçamentos, faturas, status de pagamento, anotações de trabalho, fotos/anexos de locais, assinaturas e gravações de voz/transcrições enviadas pelo Cliente.
• Dados Sensíveis Transferidos (se aplicável): Nenhum previsto; a Seção 9.2 dos Termos proíbe o Cliente de inserir categorias especiais de dados ou dados sensíveis de alto risco em campos não restritos.
• Frequência da Transferência: Contínua durante todo o uso do Serviço pelo Cliente.
• Natureza do Tratamento: Coleta, hospedagem em nuvem, armazenamento, organização, pesquisa, elaboração de rascunhos/transcrição assistidas por IA por iniciativa do Cliente, transmissão de e-mails direcionados pelo Cliente, backup e exclusão.
• Finalidade(s) da Transferência de Dados e do Tratamento Posterior: Fornecer, proteger e dar suporte ao Serviço para o Cliente, conforme os Termos.
• Período Durante o Qual os Dados Pessoais Serão Retidos: Pela duração da assinatura ou do período de teste, acrescida do ciclo de exportação e exclusão posterior ao término especificado na Seção 12.3 dos Termos.
• Para Transferências a Suboperadores: O objeto, a natureza e a duração do tratamento pelos suboperadores estão estabelecidos no Apêndice III abaixo.

C. Autoridade de Controle Competente (Cláusula 13(a) das CCP da UE)

Em conformidade com a Cláusula 13(a) das CCP da UE, a autoridade de controle competente é determinada da seguinte forma:

1. Quando o Exportador de Dados estiver estabelecido em um Estado-Membro da UE/do EEE: A autoridade de controle responsável por assegurar o cumprimento, pelo Exportador de Dados, do Regulamento (UE) 2016/679 no que diz respeito à transferência de dados no Estado-Membro da UE/do EEE em que o Exportador de Dados estiver estabelecido (por exemplo, a Data Protection Commission da Irlanda, quando o Exportador de Dados estiver estabelecido na Irlanda, a CNIL na França, a AEPD na Espanha ou a CNPD em Portugal).
2. Quando o Exportador de Dados não estiver estabelecido em um Estado-Membro da UE/do EEE, mas estiver abrangido pelo âmbito de aplicação territorial do Artigo 3(2) do Regulamento (UE) 2016/679 e tiver designado um representante nos termos do Artigo 27(1): A autoridade de controle do Estado-Membro da UE/do EEE em que estiver estabelecido o representante, na acepção do Artigo 27(1).
3. Quando o Exportador de Dados não estiver estabelecido em um Estado-Membro da UE/do EEE, estiver abrangido pelo âmbito de aplicação territorial do Artigo 3(2) do Regulamento (UE) 2016/679, mas não for obrigado a designar um representante nos termos do Artigo 27(2): A autoridade de controle de um dos Estados-Membros da UE/do EEE em que se encontrem os titulares cujos dados pessoais são transferidos nos termos destas Cláusulas no contexto da oferta de bens ou serviços a eles, ou cujo comportamento é monitorado.

APÊNDICE II AO ANEXO 1 — Medidas Técnicas e Organizacionais de Segurança

A Ortalio implementa e mantém as seguintes medidas técnicas e organizacionais de segurança:

1. Criptografia em Trânsito e em Repouso: Os Dados Pessoais transmitidos por redes públicas são criptografados com TLS 1.2 ou superior. Os Dados Pessoais armazenados em bancos de dados gerenciados em nuvem e em armazenamento de objetos são criptografados em repouso.
2. Isolamento Lógico Multilocatário: Os espaços de trabalho dos Clientes são isolados logicamente no banco de dados por meio de políticas de segurança em nível de linha (RLS) e de tokens de autenticação restritos ao espaço de trabalho.
3. Controle de Acesso e Autenticação: O acesso aos espaços de trabalho dos Clientes é controlado por autenticação de usuários e por permissões baseadas em funções configuradas pelo Cliente. O acesso interno da equipe de engenharia da Ortalio à infraestrutura de produção é restrito com base no princípio do menor privilégio e exige autenticação multifator.
4. Separação dos Dados de Pagamento: A Ortalio não armazena números de cartões de pagamento em formato bruto nem códigos CVV; a coleta dos dados de cartão ocorre em páginas de checkout hospedadas pela Stripe e em conformidade com o PCI-DSS.
5. Resiliência, Backups e Gestão de Incidentes: São feitos backups regulares dos bancos de dados de produção para garantir a disponibilidade e a recuperação de desastres. Os erros de aplicação são monitorados para fins de estabilidade, e a Ortalio mantém um procedimento de resposta a incidentes para investigar Violações de Dados Pessoais e notificá-las aos Clientes.
6. Governança de Suboperadores: A Ortalio realiza análises prévias à contratação dos suboperadores terceiros de infraestrutura e os vincula a termos escritos de proteção de dados e de segurança.

APÊNDICE III AO ANEXO 1 — Lista de Suboperadores Autorizados

O Cliente autoriza os seguintes suboperadores. Os fornecedores marcados como "Específico de Funcionalidade / Rota Aprovada" recebem Dados Pessoais somente quando a funcionalidade, a rota de modelo ou a integração correspondente estiver ativa e for acionada para o espaço de trabalho do Cliente:

APÊNDICE IV AO ANEXO 1 — Adendo de Transferência Internacional de Dados do Reino Unido (Tabelas 1 a 4 e Parte 2)

• Tabela 1 (Partes): A Data de Início é a data em que o Cliente aceita os Termos. Os dados do Exportador e do Importador e os principais contatos estão estabelecidos no Apêndice I.A acima.
• Tabela 2 (CCP Selecionadas, Módulos e Cláusulas Selecionadas): As CCP da UE Aprovadas (Decisão (UE) 2021/914 da Comissão), incluindo as Informações do Apêndice (Appendix Information) e apenas com os módulos, cláusulas e disposições opcionais selecionados na Seção 3.1 deste Anexo 1.
• Tabela 3 (Informações do Apêndice): Anexo 1A (Lista das Partes): Apêndice I.A acima. Anexo 1B (Descrição da Transferência): Apêndice I.B acima. Anexo II (Medidas técnicas e organizacionais): Apêndice II acima. Anexo III (Lista de Suboperadores): Apêndice III acima.
• Tabela 4 (Término deste Adendo quando o Adendo Aprovado for Alterado): Tanto o Importador quanto o Exportador podem pôr fim a este Adendo conforme estabelecido na Seção 19 do Adendo Aprovado.
• Parte 2 (Cláusulas Obrigatórias): Cláusulas Obrigatórias Alternativas da Parte 2: As Cláusulas Obrigatórias do Adendo Aprovado, sendo este o modelo de Adendo B.1.0 emitido pelo ICO e apresentado ao Parlamento nos termos da seção 119A do Data Protection Act 2018 em 2 de fevereiro de 2022, conforme revisado nos termos da Seção 18 dessas Cláusulas Obrigatórias.

APÊNDICE V AO ANEXO 1 — Cláusulas-Padrão Contratuais Brasileiras (Resolução CD/ANPD nº 19/2024, Anexo II)

(Nota: A seguir estão as cláusulas-padrão contratuais aprovadas no Anexo II da Resolução CD/ANPD nº 19, de 23 de agosto de 2024, publicada no Diário Oficial da União, com a redação dada pela Retificação de 18 de agosto de 2025, com as Seções I, III e IV preenchidas pelas Partes nos espaços indicados. A Seção II (Cláusulas 5 a 24) é reproduzida integralmente e sem qualquer alteração. Para as transferências sujeitas à LGPD, este texto em português é o texto oficial e prevalece em caso de qualquer divergência linguística com as versões deste Apêndice V em outros idiomas.)

SEÇÃO I – INFORMAÇÕES GERAIS

CLÁUSULA 1. Identificação das Partes

1.1. Pelo presente instrumento contratual, o Exportador e o Importador (doravante, Partes), abaixo identificados, resolvem adotar as cláusulas-padrão contratuais (doravante Cláusulas) aprovadas pela Autoridade Nacional de Proteção de Dados (ANPD), para reger a Transferência Internacional de Dados descrita na Cláusula 2, em conformidade com as disposições da Legislação Nacional.

• Exportador: [X] Exportador/Controlador | [ ] Exportador/Operador (ou Operador, quando atuar em nome de um Terceiro Controlador).
  • Nome: A pessoa jurídica ou o profissional cliente ("Cliente") identificado no cadastro da conta Ortalio e no Pedido.
  • Qualificação: A pessoa jurídica ou o profissional indicado no cadastro da conta Ortalio, representado por seu administrador cadastrado.
  • Endereço principal: O endereço comercial registrado na conta Ortalio do Cliente.
  • Endereço de e-mail: O endereço de e-mail do administrador da conta registrado na conta Ortalio do Cliente.
  • Contato para o Titular: O canal de privacidade ou de atendimento divulgado pelo Cliente.
  • Outras informações: O Cliente aceita estas Cláusulas eletronicamente ao aceitar os Termos de Serviço para Empresas da Ortalio.
• Importador: [ ] Importador/Controlador | [X] Importador/Operador
  • Nome: SendWork, Inc.
  • Qualificação: Sociedade constituída segundo as leis do Estado da Flórida, Estados Unidos da América.
  • Endereço principal: 382 NE 191st Street, Suite 42012, Miami, FL 33179, Estados Unidos.
  • Endereço de e-mail: privacy@ortalio.com
  • Contato para o Titular: privacy@ortalio.com
  • Outras informações: A Ortalio atua exclusivamente como Operador, conforme as instruções do Exportador, nos termos do Anexo 1 (Adendo de Tratamento de Dados) destes Termos.

CLÁUSULA 2. Objeto

2.1. Estas Cláusulas se aplicam às Transferências Internacionais de Dados do Exportador para o Importador, conforme a descrição abaixo.

• Descrição da transferência internacional de dados: Transferência ao Importador dos dados pessoais que o Exportador e seus Usuários Autorizados inserem, geram ou sincronizam no espaço de trabalho Ortalio do Exportador. Categorias de titulares: os Clientes Finais do Exportador, contatos de imóveis/locais de serviço, potenciais clientes e funcionários/técnicos autorizados do Exportador.
• Principais finalidades da transferência: Fornecimento, hospedagem em nuvem, armazenamento, sincronização, suporte técnico, segurança e tratamento operacional da plataforma de software de gestão de serviços de campo Ortalio ("Serviço"), de acordo com as instruções do Exportador nos termos dos Termos de Serviço para Empresas da Ortalio.
• Categorias de dados pessoais transferidos: Dados de contato e de cadastro (nomes, e-mails, números de telefone, endereços comerciais e de locais de serviço), agendas, tarefas, estimativas, faturas, status de pagamento, anotações de trabalho, fotos/anexos de locais, assinaturas e gravações de voz/transcrições enviadas pelo Exportador. (Não se pretende transferir dados pessoais sensíveis, e seu envio em campos não restritos é proibido pela Seção 9.2 dos Termos.)
• Período de armazenamento dos dados: Durante a assinatura ativa ou o período de teste gratuito do Exportador, acrescido do período de exportação somente leitura (normalmente 30 dias) e do ciclo padrão de exclusão do banco de dados ativo e de sobrescrita dos backups criptografados previsto na Seção 12.3 dos Termos, salvo se a conservação for exigida por lei.
• Outras informações: As transferências ocorrem continuamente durante o uso do Serviço pelo Exportador, com tratamento principal localizado nos Estados Unidos.

CLÁUSULA 3. Transferências Posteriores

3.1. (Opção B) O Importador poderá realizar Transferência Posterior dos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas nas hipóteses e conforme as condições descritas abaixo e desde que observadas as disposições da Cláusula 18.

• Principais finalidades da transferência: Hospedagem de aplicações e bancos de dados em nuvem, envio de e-mails transacionais, monitoramento de erros, análise de uso do produto, segurança e tratamento de recursos de IA/voz (quando acionados pelo Exportador) por meio dos subcontratados autorizados listados no Apêndice III ao Anexo 1.
• Categorias de dados pessoais transferidos: As categorias especificadas na Cláusula 2.1, limitadas aos dados de que cada subcontratado necessita para sua finalidade.
• Período de armazenamento dos dados: O período especificado na Cláusula 2.1.
• Outras informações: Cada subcontratado está vinculado, por contrato escrito, às salvaguardas destas Cláusulas, conforme exigido pela Cláusula 18.2.

CLÁUSULA 4. Responsabilidades das Partes

4.1. (Opção A) Sem prejuízo do dever de assistência mútua e das obrigações gerais das Partes, caberá à Parte Designada abaixo, na condição de Controlador, a responsabilidade pelo cumprimento das seguintes obrigações previstas nestas Cláusulas:

a) Responsável por publicar o documento previsto na Cláusula 14; [X] Exportador [ ] Importador

b) Responsável por atender às solicitações de titulares de que trata a CLÁUSULA 15: [X] Exportador [ ] Importador

c) Responsável por realizar a comunicação de incidente de segurança prevista na Cláusula 16: [X] Exportador [ ] Importador

4.2. Para os fins destas Cláusulas, verificado, posteriormente, que a Parte Designada na forma do item 4.1. atua como Operador, o Controlador permanecerá responsável:

a) pelo cumprimento das obrigações previstas nas Cláusulas 14, 15 e 16 e demais disposições estabelecidas na Legislação Nacional, especialmente em caso de omissão ou descumprimento das obrigações pela Parte Designada;

b) pelo atendimento às determinações da ANPD; e

c) pela garantia dos direitos dos Titulares e pela reparação dos danos causados, observado o disposto na Cláusula 17.

SEÇÃO II – CLÁUSULAS MANDATÓRIAS

CLÁUSULA 5. Finalidade

5.1. Estas Cláusulas se apresentam como mecanismo viabilizador do fluxo internacional seguro de dados pessoais, estabelecem garantias mínimas e condições válidas para a realização de Transferência Internacional de Dados e visam garantir a adoção das salvaguardas adequadas para o cumprimento dos princípios, dos direitos do Titular e do regime de proteção de dados previstos na Legislação Nacional.

CLÁUSULA 6. Definições

6.1. Para os fins destas Cláusulas, serão consideradas as definições do art. 5° da Lei nº 13.709, de 14 de agosto de 2018, e do art. 3º do Regulamento de Transferência Internacional de Dados Pessoais, sem prejuízo de outros atos normativos expedidos pela ANPD. As Partes concordam, ainda, em considerar os termos e seus respectivos significados, conforme exposto a seguir:

a) Agentes de tratamento: o controlador e o operador;

b) ANPD: Autoridade Nacional de Proteção de Dados;

c) Cláusulas: as cláusulas-padrão contratuais aprovadas pela ANPD, que integram as Seções I, II e III;

d) Contrato Coligado: instrumento contratual firmado entre as Partes ou, pelo menos, entre uma destas e um terceiro, incluindo um Terceiro Controlador, que possua propósito comum, vinculação ou relação de dependência com o contrato que rege a Transferência Internacional de Dados;

e) Controlador: Parte ou terceiro ("Terceiro Controlador") a quem compete as decisões referentes ao tratamento de Dados Pessoais;

f) Dado Pessoal: informação relacionada a pessoa natural identificada ou identificável;

g) Dado Pessoal Sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

h) Eliminação: exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado;

i) Exportador: agente de tratamento, localizado no território nacional ou em país estrangeiro, que transfere dados pessoais para Importador;

j) Importador: agente de tratamento, localizado em país estrangeiro ou que seja organismo internacional, que recebe dados pessoais transferidos por Exportador;

k) Legislação Nacional: conjunto de dispositivos constitucionais, legais e regulamentares brasileiros a respeito da proteção de Dados Pessoais, incluindo a Lei nº 13.709, de 14 de agosto de 2018, o Regulamento de Transferência Internacional de Dados e outros atos normativos expedidos pela ANPD;

l) Lei de Arbitragem: Lei nº 9.307, de 23 de setembro de 1996;

m) Medidas de Segurança: medidas técnicas e administrativas adotadas para proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

n) Órgão de Pesquisa: órgão ou entidade da administração pública direta ou indireta ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituída sob as leis brasileiras, com sede e foro no País, que inclua em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico;

o) Operador: Parte ou terceiro, incluindo um Subcontratado, que realiza o tratamento de Dados Pessoais em nome do Controlador;

p) Parte Designada: Parte do contrato designada, nos termos da Cláusula 4 ("Opção A"), para cumprir, na condição de Controlador, obrigações específicas relativas à transparência, direitos dos Titulares e comunicação de incidentes de segurança;

q) Partes: Exportador e Importador;

r) Solicitação de Acesso: solicitação de atendimento obrigatório, por força de lei, regulamento ou determinação de autoridade pública, para conceder acesso aos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas;

s) Subcontratado: agente de tratamento contratado pelo Importador, sem vínculo com o Exportador, para realizar tratamento de Dados Pessoais após uma Transferência Internacional de Dados;

t) Terceiro Controlador: Controlador dos Dados Pessoais que fornece instruções por escrito para a realização, em seu nome, da Transferência Internacional de Dados entre Operadores regida por estas Cláusulas, na forma da Cláusula 4 ("Opção B");

u) Titular: pessoa natural a quem se referem os Dados Pessoais que são objeto da Transferência Internacional de Dados regida por estas Cláusulas;

v) Transferência: modalidade de tratamento por meio da qual um agente de tratamento transmite, compartilha ou disponibiliza acesso a Dados Pessoais a outro agente de tratamento;

w) Transferência Internacional de Dados: transferência de Dados Pessoais para país estrangeiro ou organismo internacional do qual o país seja membro; e

x) Transferência Posterior: transferência Internacional de Dados, originada de um Importador, e destinada a um terceiro, incluindo um Subcontratado, desde que não configure Solicitação de Acesso.

CLÁUSULA 7. Legislação aplicável e fiscalização da ANPD

7.1. A Transferência Internacional de Dados objeto das presentes Cláusulas submete-se à Legislação Nacional e à fiscalização da ANPD, incluindo o poder de aplicar medidas preventivas e sanções administrativas a ambas as Partes, conforme o caso, bem como o de limitar, suspender ou proibir as transferências internacionais decorrentes destas Cláusulas ou de um Contrato Coligado.

CLÁUSULA 8. Interpretação

8.1. Qualquer aplicação destas Cláusulas deve ocorrer de acordo com os seguintes termos:

a) estas Cláusulas devem sempre ser interpretadas de forma mais favorável ao Titular e de acordo com as disposições da Legislação Nacional;

b) em caso de dúvida sobre o significado de termos destas Cláusulas, aplica-se o significado que mais se alinha com a Legislação Nacional;

c) nenhum item destas Cláusulas, incluindo-se aqui um Contrato Coligado e as disposições previstas na Seção IV, poderá ser interpretado com o objetivo de limitar ou excluir a responsabilidade de qualquer uma das Partes em relação a obrigações previstas na Legislação Nacional; e

d) as disposições das Seções I e II prevalecem em caso de conflito de interpretação com Cláusulas adicionais e demais disposições previstas nas Seções III e IV deste instrumento ou em Contratos Coligados.

CLÁUSULA 9. Possibilidade de adesão de terceiros

9.1. Em comum acordo entre as Partes, é possível a um agente de tratamento aderir a estas Cláusulas na condição de Exportador ou de Importador, por meio do preenchimento e assinatura de documento escrito, que integrará o presente instrumento.

9.2. A parte aderente terá os mesmos direitos e obrigações das Partes originárias, conforme a posição assumida de Exportador ou Importador e de acordo com a categoria de agente de tratamento correspondente.

CLÁUSULA 10. Obrigações gerais das Partes

10.1. As Partes se comprometem a adotar e, quando necessário, demonstrar a adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das disposições destas Cláusulas e da Legislação Nacional e, inclusive, da eficácia dessas medidas e, em especial:

a) utilizar os Dados Pessoais somente para as finalidades específicas descritas na Cláusula 2, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades, observadas, em qualquer caso, as limitações, garantias e salvaguardas previstas nestas Cláusulas;

b) garantir a compatibilidade do tratamento com as finalidades informadas ao Titular, de acordo com o contexto do tratamento;

c) limitar o tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de Dados Pessoais;

d) garantir aos Titulares, observado o disposto na Cláusula 4.

(d.1.) informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;

(d.2.) consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus Dados Pessoais; e

(d.3.) a exatidão, clareza, relevância e atualização dos Dados Pessoais, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;

e) adotar as medidas de segurança apropriadas e compatíveis com os riscos envolvidos na Transferência Internacional de Dados regida por estas Cláusulas;

f) não realizar tratamento de Dados Pessoais para fins discriminatórios ilícitos ou abusivos;

g) assegurar que qualquer pessoa que atue sob sua autoridade, inclusive subcontratados ou qualquer agente que com ele colabore, de forma gratuita ou onerosa, realize tratamento de dados apenas em conformidade com suas instruções e com o disposto nestas Cláusulas; e

h) manter registro das operações de tratamento dos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas, e apresentar a documentação pertinente à ANPD, quando solicitado.

CLÁUSULA 11. Dados pessoais sensíveis

11.1. Caso a Transferência Internacional de Dados envolva Dados Pessoais sensíveis, as Partes aplicarão salvaguardas adicionais, incluindo medidas de segurança específicas e proporcionais aos riscos da atividade de tratamento, à natureza específica dos dados e aos interesses, direitos e garantias a serem protegidos, conforme descrito na Seção III.

CLÁUSULA 12. Dados pessoais de crianças e adolescentes

12.1. Caso a Transferência Internacional de Dados envolva Dados Pessoais de crianças e adolescentes, as Partes aplicarão salvaguardas adicionais, incluindo medidas que assegurem que o tratamento seja realizado em seu melhor interesse, nos termos da Legislação Nacional e dos instrumentos pertinentes de direito internacional.

CLÁUSULA 13. Uso legal dos dados

13.1. O Exportador garante que os Dados Pessoais foram coletados, tratados e transferidos para o Importador de acordo com a Legislação Nacional.

CLÁUSULA 14. Transparência

14.1. A Parte Designada publicará, em sua página na Internet, documento contendo informações facilmente acessíveis redigidas em linguagem simples, clara e precisa sobre a realização da Transferência Internacional de Dados, incluindo, pelo menos, informações sobre:

a) a forma, a duração e a finalidade específica da transferência internacional;

b) o país de destino dos dados transferidos;

c) a identificação e os contatos da Parte Designada;

d) o uso compartilhado de dados pelas Partes e a finalidade;

e) as responsabilidades dos agentes que realizarão o tratamento;

f) os direitos do Titular e os meios para o seu exercício, incluindo canal de fácil acesso disponibilizado para atendimento às suas solicitações e o direito de peticionar contra o Controlador perante a ANPD; e

g) Transferências Posteriores, incluindo as relativas aos destinatários e à finalidade da transferência.

14.2. O documento referido no item 14.1. poderá ser disponibilizado em página específica ou integrado, de forma destacada e de fácil acesso, à Política de Privacidade ou documento equivalente.

14.3. A pedido, as Partes devem disponibilizar, gratuitamente, ao Titular uma cópia destas Cláusulas, observados os segredos comercial e industrial.

14.4. Todas as informações disponibilizadas aos titulares, nos termos destas Cláusulas, deverão ser redigidas na língua portuguesa.

CLÁUSULA 15. Direitos do Titular

15.1. O Titular tem direito a obter da Parte Designada, em relação aos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas, a qualquer momento, e mediante requisição, nos termos da Legislação Nacional:

a) confirmação da existência de tratamento;

b) acesso aos dados;

c) correção de dados incompletos, inexatos ou desatualizados;

d) anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com estas Cláusulas e com o disposto na Legislação Nacional;

e) portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da ANPD, observados os segredos comercial e industrial;

f) eliminação dos Dados Pessoais tratados com o consentimento do Titular, exceto nas hipóteses previstas na Cláusula 20;

g) informação das entidades públicas e privadas com as quais as Partes realizaram uso compartilhado de dados;

h) informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;

i) revogação do consentimento mediante procedimento gratuito e facilitado, ratificados os tratamentos realizados antes do requerimento de eliminação;

j) revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade; e

k) informações a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial.

15.2. O titular pode opor-se a tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento ao disposto nestas Cláusulas ou na Legislação Nacional.

15.3. O prazo para atendimento às solicitações previstas nesta Cláusula e no item 14.3. é de 15 (quinze) dias contados da data do requerimento do titular, ressalvada a hipótese de prazo distinto estabelecido em regulamentação específica da ANPD.

15.4. Caso a solicitação do Titular seja direcionada à Parte não designada como responsável pelas obrigações previstas nesta Cláusula ou no item 14.3., a Parte deverá:

a) informar ao Titular o canal de atendimento disponibilizado pela Parte Designada; ou

b) encaminhar a solicitação para a Parte Designada o quanto antes, a fim de viabilizar a resposta no prazo previsto no item 15.3.

15.5. As Partes deverão informar, imediatamente, aos Agentes de Tratamento com os quais tenham realizado uso compartilhado de dados a correção, a eliminação, a anonimização ou o bloqueio dos dados, para que repitam idêntico procedimento, exceto nos casos em que esta comunicação seja comprovadamente impossível ou implique esforço desproporcional.

15.6. As Partes devem promover assistência mútua com a finalidade de atender às solicitações dos Titulares.

CLÁUSULA 16. Comunicação de Incidente de Segurança

16.1. A Parte Designada deverá comunicar à ANPD e aos Titulares, no prazo de 3 (três) dias úteis, a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante para os Titulares, observado o disposto na Legislação Nacional.

16.2. O Importador deve manter o registro de incidentes de segurança nos termos da Legislação Nacional.

CLÁUSULA 17. Responsabilidade e ressarcimento de danos

17.1. A Parte que, em razão do exercício da atividade de tratamento de Dados Pessoais, causar dano patrimonial, moral, individual ou coletivo, em violação às disposições destas Cláusulas e da Legislação Nacional, é obrigada a repará-lo.

17.2. O Titular poderá pleitear a reparação do dano causado por quaisquer das Partes em razão da violação destas Cláusulas.

17.3. A defesa dos interesses e dos direitos dos Titulares poderá ser pleiteada em juízo, individual ou coletivamente, na forma do disposto na legislação pertinente acerca dos instrumentos de tutela individual e coletiva.

17.4. A Parte que atuar como Operador responde, solidariamente, pelos danos causados pelo tratamento quando descumprir as presentes Cláusulas ou quando não tiver seguido as instruções lícitas do Controlador, ressalvado o disposto no item 17.6.

17.5. Os Controladores que estiverem diretamente envolvidos no tratamento do qual decorreram danos ao Titular respondem, solidariamente, por estes danos, ressalvado o disposto no item 17.6.

17.6. Não caberá responsabilização das Partes se comprovado que:

a) não realizaram o tratamento de Dados Pessoais que lhes é atribuído;

b) embora tenham realizado o tratamento de Dados Pessoais que lhes é atribuído, não houve violação a estas Cláusulas ou à Legislação Nacional; ou

c) o dano é decorrente de culpa exclusiva do Titular ou de terceiro que não seja destinatário de Transferência Posterior ou subcontratado pelas Partes.

17.7. Nos termos da Legislação Nacional, o juiz poderá inverter o ônus da prova a favor do Titular quando, a seu juízo, for verossímil a alegação, houver hipossuficiência para fins de produção de prova ou quando a produção de prova pelo Titular resultar-lhe excessivamente onerosa.

17.8. As ações de reparação por danos coletivos que tenham por objeto a responsabilização nos termos desta Cláusula podem ser exercidas coletivamente em juízo, observado o disposto na legislação pertinente.

17.9. A Parte que reparar o dano ao titular tem direito de regresso contra os demais responsáveis, na medida de sua participação no evento danoso.

CLÁUSULA 18. Salvaguardas para Transferência Posterior

18.1. O Importador somente poderá realizar Transferências Posteriores dos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas se expressamente autorizado, conforme as hipóteses e condições descritas na Cláusula 3.

18.2. Em qualquer caso, o Importador:

a) deve assegurar que a finalidade da Transferência Posterior é compatível com as finalidades específicas descritas na Cláusula 2;

b) deve garantir, mediante instrumento contratual escrito, que as salvaguardas previstas nestas Cláusulas serão observadas pelo terceiro destinatário da Transferência Posterior; e

c) para fins destas Cláusulas, e em relação aos Dados Pessoais transferidos, será considerado o responsável por eventuais irregularidades praticadas pelo terceiro destinatário da Transferência Posterior.

18.3. A Transferência Posterior poderá, ainda, ser realizada com base em outro mecanismo válido de Transferência Internacional de Dados previsto na Legislação Nacional, independentemente da autorização de que trata a Cláusula 3.

CLÁUSULA 19. Notificação de Solicitação de Acesso

19.1. O Importador notificará o Exportador e o Titular sobre Solicitação de Acesso relacionada aos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas, ressalvada a hipótese de vedação de notificação pela lei do país de tratamento dos dados.

19.2. O Importador adotará as medidas legais cabíveis, incluindo ações judiciais, para proteger os direitos dos Titulares sempre que houver fundamento jurídico adequado para questionar a legalidade da Solicitação de Acesso e, se for o caso, a vedação de realizar a notificação referida no item 19.1.

19.3. Para atender às solicitações da ANPD e do Exportador, o Importador deve manter registro de Solicitações de Acesso, incluindo data, solicitante, finalidade da solicitação, tipo de dados solicitados, número de solicitações recebidas e medidas legais adotadas.

CLÁUSULA 20. Término do tratamento e eliminação dos dados

20.1. As Partes deverão eliminar os Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas após o término do tratamento, no âmbito e nos limites técnicos das atividades, autorizada a conservação apenas para as seguintes finalidades:

a) cumprimento de obrigação legal ou regulatória pelo Controlador;

b) estudo por Órgão de Pesquisa, garantida, sempre que possível, a anonimização dos Dados Pessoais;

c) transferência a terceiro, desde que respeitados os requisitos previstos nestas Cláusulas e na Legislação Nacional; e

d) uso exclusivo do Controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados.

20.2. Para fins desta Cláusula, considera-se que o término do tratamento ocorrerá quando:

a) alcançada a finalidade prevista nestas Cláusulas;

b) os Dados Pessoais deixarem de ser necessários ou pertinentes ao alcance da finalidade específica prevista nestas Cláusulas;

c) finalizado o período de tratamento;

d) atendida solicitação do Titular; e

e) determinado pela ANPD, quando houver violação ao disposto nestas Cláusulas ou na Legislação Nacional.

CLÁUSULA 21. Segurança no tratamento dos dados

21.1. As Partes deverão adotar medidas de segurança que garantam proteção aos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas, mesmo após o seu término.

21.2. As Partes informarão, na Seção III, as Medidas de Segurança adotadas, considerando a natureza das informações tratadas, as características específicas e a finalidade do tratamento, o estado atual da tecnologia e os riscos para os direitos dos Titulares, especialmente no caso de dados pessoais sensíveis e de crianças e adolescentes.

21.3. As Partes deverão realizar os esforços necessários para adotar medidas periódicas de avaliação e revisão visando manter nível de segurança adequado às características do tratamento de dados.

CLÁUSULA 22. Legislação do país destinatário dos dados

22.1. O Importador declara que não identificou leis ou práticas administrativas do país destinatário dos Dados Pessoais que o impeçam de cumprir as obrigações assumidas nestas Cláusulas.

22.2. Sobrevindo alteração normativa que altere esta situação, o Importador notificará, de imediato, o Exportador para avaliação da continuidade do contrato.

CLÁUSULA 23. Descumprimento das Cláusulas pelo Importador

23.1. Havendo violação das salvaguardas e garantias previstas nestas Cláusulas ou a impossibilidade de seu cumprimento pelo Importador, o Exportador deverá ser comunicado imediatamente, ressalvado o disposto no item 19.1.

23.2. Recebida a comunicação de que trata o item 23.1 ou verificado o descumprimento destas Cláusulas pelo Importador, o Exportador adotará as providências pertinentes para assegurar a proteção aos direitos dos Titulares e a conformidade da Transferência Internacional de Dados com a Legislação Nacional e as presentes Cláusulas, podendo, conforme o caso:

a) suspender a Transferência Internacional de Dados;

b) solicitar a devolução dos Dados Pessoais, sua transferência a um terceiro, ou a sua eliminação; e

c) rescindir o contrato.

CLÁUSULA 24. Eleição do foro e jurisdição

24.1. Aplica-se a estas Cláusulas a legislação brasileira e qualquer controvérsia entre as Partes decorrente destas Cláusulas será resolvida perante os tribunais competentes do Brasil, observado, se for o caso, o foro eleito pelas Partes na Seção IV.

24.2. Os Titulares podem ajuizar ações judiciais contra o Exportador ou o Importador, conforme sua escolha, perante os tribunais competentes no Brasil, inclusive naqueles localizados no local de sua residência.

24.3. Em comum acordo, as Partes poderão se valer da arbitragem para resolver os conflitos decorrentes destas Cláusulas, desde que realizada no Brasil e conforme as disposições da Lei de Arbitragem.

SEÇÃO III – MEDIDAS DE SEGURANÇA

• (i) governança e supervisão de processos internos: As medidas de governança, controle de acesso, confidencialidade de pessoal e avaliação de subcontratados previstas no Apêndice II ao Anexo 1 acima.
• (ii) medidas de segurança técnicas e administrativas, incluindo medidas para garantir a segurança das operações realizadas, tais como a coleta, a transmissão e o armazenamento dos dados: As medidas previstas no Apêndice II ao Anexo 1 acima, incluindo criptografia em trânsito e em repouso e isolamento lógico entre clientes. Não se pretende transferir dados pessoais sensíveis nem dados pessoais de crianças e adolescentes (Seção 9.2 dos Termos); caso algum desses dados esteja presente de forma incidental, as mesmas medidas se aplicam a ele.

SEÇÃO IV – CLÁUSULAS ADICIONAIS E ANEXOS

• Contrato Coligado: Estas Cláusulas integram os Termos de Serviço para Empresas da Ortalio e o Anexo 1 (Adendo de Tratamento de Dados) firmados entre o Exportador e o Importador. Nada nesta Seção, nos Termos ou no Anexo 1 exclui, modifica ou contraria, direta ou indiretamente, as Cláusulas previstas nas Seções I, II e III.
• Opções Selecionadas: Na Cláusula 3, aplica-se a Opção B. Na Cláusula 4, aplica-se a Opção A, e a Parte Designada é o Exportador.
• Local, data e assinaturas: O aceite eletrônico (clickwrap) dos Termos de Serviço para Empresas da Ortalio constitui a assinatura válida deste Apêndice V por ambas as Partes, na data desse aceite.